Ciscoのメールゲートウェイがまたrootを渡している。今回は修正が1か月前から置かれていた

Ciscoは10月14日、CVE-2026-76519に関するアドバイザリ cisco-sa-esa-afw-zqYJkjxp を公開した。Secure Email Gateway向けAsyncOSのAdvanced Malware Protection（AMP）機能における任意のファイル書き込みの脆弱性であり、CVSS基本値は9.8。認証を経ていないリモートの攻撃者が、細工した添付ファイルを含むメッセージをゲートウェイ経由で送りつける。ファイルレピュテーションサービスがそれを適切に扱えず、基盤となるOS上にファイルが書き込まれ、コマンドがroot権限で実行される。回避策は存在しない。Cisco PSIRTは2026年10月に実環境での悪用を認知しており、CISAはこの脆弱性をKnown Exploited Vulnerabilities（既知の悪用された脆弱性）カタログに登録し、連邦政府機関の修正期限を10月17日に設定した。

このバグを見つけたのはCisco自身で、社内のセキュリティスキャンの過程だった。興味深いのはその後である。SecurityWeekによれば、これを修正するリリース——AsyncOS 15.5.5-014および16.5.0-780——は9月14日に出荷され、同月のアドバイザリではCVE-2026-76440としてまとめられていた。そしてCiscoは水曜日、新たな専用アドバイザリと並行して、その9月のアドバイザリを更新し、実環境での悪用を記載した。つまりパッチは1か月前から棚に置かれていたのだ。新しいのは、誰かがこの穴を使い始めたという事実のほうである。

影響を受ける範囲

物理アプライアンスと仮想アプライアンスの双方が対象となる。Ciscoは、Secure Email and Web ManagerおよびSecure Web Applianceは影響を受けないとしており、自社が運用するSecure Email Cloud Gatewayの環境についてはすでに修正済みだと述べている。

露出を決めるバージョン番号は、あなたが追っているほうではない

アプライアンスが脆弱なのは、二つの条件が同時に成り立つ場合に限られる。File Reputationサービスが有効化され、メールポリシーに割り当てられていること。そしてContent Scanner Toolsのバージョンが25.3.0.5525より前であること。

一つ目の条件は、9月の脆弱性より狭い。あちらは受信メールの解析処理にあり、したがって職務を果たしているすべてのゲートウェイに当てはまった。今回はマルウェアスキャン機能を有効にしていることが前提となる——言い換えれば、このアプライアンスを購入し、データシートの推奨どおりに設定した組織が対象ということだ。

腰を据えて考える価値があるのは二つ目の条件である。Content Scanner ToolsはAsyncOSとは別にバージョン管理されたパッケージで、更新も独立して行われる。Ciscoは、25.3.0.5525への移行にソフトウェアのアップグレードも再起動も不要だと記している。これは修正作業の時間枠にとっては朗報だが、資産管理にとっては悪い知らせだ。資産データベース、脆弱性スキャナ、変更チケットは、いずれもファームウェアやOSのリリース系列を軸に組み立てられている。背後で静かに自動更新されるスキャンエンジンのパッケージ——ただし数年前に自動更新を切った担当者がすでに退職しているアプライアンスを除いて——は、多くの組織が照会できるフィールドではない。CiscoのアドバイザリはCLIコマンドを示している。バージョンを読むには contentscannerstatus、取得するには contentscannerupdate。多くのチームにとって、このチェックを実行するほうがCMDBで答えを探すより速いだろう。

アプライアンスは自分自身に無罪を出せない

Ciscoの侵害指標の確認手順は、各クラスタメンバー上で grep "System Security" system_logs を実行し、結果を読むことだ。侵害の疑いを示す指標が見つかればアドバイザリの推奨手順に従う。セキュリティスキャンが完了しなかった場合はTACに連絡する。指標が見つからなければ、未適用なら修正版へアップグレードする。

そしてアドバイザリは、自らのこのチェックを——正しく——留保つきにする。悪用が成功するとroot権限が渡るため、攻撃者が証跡を削除あるいは隠蔽しうる。だからCiscoは管理者に対し、ネットワークとファイアウォールのログを突き合わせ、外部アドレスへの予期しないアップロードや既知の悪性IPからのダウンロードを確認するよう求めている。これは先月と同じ論点であり、その正しさは少しも減じていない。rootを持つ攻撃者が支配できなかった記録は、別の場所に保管されているものだけである。

アドバイザリにはもう二点、記載位置からは想像しにくいほど重要な事項がある。クラスタ内のアプライアンスはSSH鍵を共有しているため、一台の侵害は残りすべてに波及する。そして仮想アプライアンスでは、アップグレードがフォレンジック証跡を破壊する——つまりログの確認が黒だった場合、スナップショットはパッチの前に取らなければならない。侵害された仮想アプライアンスについてCiscoが示す復旧手順は、そもそもパッチではない。クリーンな状態で再展開し、旧設定ファイルを読み込まずに構成を組み直し、その筐体が抱えていた認証情報と鍵のすべてを更新する、というものだ。

この形は繰り返される

これは9月中旬以降、実環境で悪用されたSecure Email Gatewayの脆弱性としては二件目で、一件目はCVE-2026-76461だった。Security Affairsは、2025年12月以降にCiscoのメールゲートウェイ製品でroot奪取に使われた脆弱性としては三件目と数えている。この構図はCiscoの物語ではない。メールゲートウェイは露出を減らすために購入され、見知らぬ相手からの敵意ある入力を受け取らざるをえない場所に置かれ、root権限で動作し、アプリケーションではなくネットワークアプライアンスの周期でパッチを当てられる。そこに添付ファイル検査を足しても、この計算式は変わらない——検査される面を広げるだけだ。

9月のAsyncOS更新を適用した組織は、おそらくすでに保護されている。いまなお露出しているのは、コンテンツスキャナが動かなかった組織だ。自分がどちらかを確かめるのに必要なのは、コマンド一つである。

Sources: Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp · SecurityWeek: Cisco Warns of Exploited Secure Email Gateway Vulnerability · CSO Online: Cisco warns of actively exploited Secure Email Gateway flaw · Help Net Security: CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products · Security Affairs: Cisco urges customers to patch email gateway flaw and check for compromise · CISA Known Exploited Vulnerabilities Catalog